Contrat de sous-traitance de données à caractère personnel

Le présent contrat (« DPA ») est conclu entre l'Office, responsable du traitement, et TV(i)A SAS, sous-traitant, en application de l'article 28 du règlement (UE) 2016/679. Il fait partie des conditions générales de vente et d'utilisation et est accepté avec elles.

Article 1 — Objet, durée, nature et finalité

1.1. Objet : hébergement, stockage, structuration, analyse, chiffrage, production de projets de clauses et suppression des Données de l'Office pour les besoins du Service TV(i)A.

1.2. Durée : celle du contrat de Service, prolongée de la période de réversibilité et du délai de suppression (article 9).

1.3. Finalité : aide à la qualification fiscale (taxe sur la valeur ajoutée, droits de mutation) des opérations immobilières et à la préparation des clauses, pour le compte de l'Office.

Article 2 — Données et personnes concernées

2.1. Catégories de personnes : clients de l'Office, parties aux opérations (vendeurs, acquéreurs), propriétaires antérieurs, représentants et dirigeants de personnes morales, collaborateurs de l'Office titulaires d'un Compte.

2.2. Catégories de données : identité (nom, prénom, dénomination — chiffrés au repos), coordonnées, identifiants d'entreprise (SIREN, SIRET, numéro de taxe sur la valeur ajoutée), données patrimoniales et immobilières (biens, références cadastrales, prix, dates d'acquisition et de vente, régimes de taxe sur la valeur ajoutée et de droits, engagements fiscaux), données relatives aux transactions consultées dans des registres publics.

2.3. Aucune donnée relevant de l'article 9 ou de l'article 10 du RGPD n'est attendue ; l'Office s'interdit d'en saisir.

Article 3 — Instructions documentées

Le Sous-traitant ne traite les Données de l'Office que sur instruction documentée de l'Office. Les Conditions, le présent DPA et l'utilisation du Service par les Utilisateurs constituent ces instructions. Le Sous-traitant informe l'Office si une instruction lui paraît contraire au RGPD ou au droit de l'Union ou d'un État membre. Il ne traite pas les Données de l'Office pour son propre compte, ne les utilise pour aucun entraînement de modèle et ne les communique à aucun tiers hors sous-traitants ultérieurs autorisés et autorités légalement habilitées.

Article 4 — Confidentialité du personnel

Le Sous-traitant veille à ce que les personnes autorisées à traiter les Données de l'Office s'engagent par écrit à en respecter la confidentialité, y compris au titre du secret professionnel du notaire (article 8.1 du règlement professionnel du notariat), reçoivent la formation nécessaire et n'accèdent aux données que dans la limite de leurs missions.

Article 5 — Sécurité (article 32 du RGPD)

Le Sous-traitant met en œuvre les mesures décrites à l'annexe 1 et les maintient à un niveau adapté au risque. Toute modification substantielle de ces mesures ne peut réduire le niveau de sécurité.

Article 6 — Sous-traitants ultérieurs

6.1. L'Office autorise de manière générale le recours aux sous-traitants ultérieurs énumérés à l'annexe 2.

6.2. Le Sous-traitant informe l'Office, par courrier électronique au Responsable de l'Office et par mise à jour de l'annexe 2, de tout projet d'ajout ou de remplacement, trente (30) jours au moins avant sa mise en œuvre. L'Office peut s'y opposer par écrit sous quinze (15) jours pour un motif légitime tenant à la protection des données ; à défaut d'accord, l'Office peut résilier le Service sans frais.

6.3. Le Sous-traitant impose à chaque sous-traitant ultérieur, par contrat, des obligations équivalentes aux siennes et demeure responsable envers l'Office de leur exécution.

Article 7 — Transferts hors de l'Union européenne

7.1. Les Données de l'Office sont hébergées et sauvegardées en France.

7.2. Le seul transfert vers un pays tiers concerne la Rédaction assistée, décrite à l'article 6.2 de la politique de confidentialité : transmission à Anthropic PBC (États-Unis) d'un dossier pseudonymisé, sans aucune donnée nominative, l'envoi étant refusé si une valeur nominative subsiste, sous les clauses contractuelles types (décision (UE) 2021/914, module 3 de sous-traitant à sous-traitant, module 2 subsidiairement) incorporées au contrat de sous-traitance d'Anthropic. Le Sous-traitant tient à disposition de l'Office son analyse d'impact du transfert. [À COMPLÉTER PAR L'ÉDITEUR : date de l'analyse d'impact du transfert]

7.3. Le transfert n'a lieu que si l'Office est abonné et si un Utilisateur déclenche expressément la fonction pour un Dossier donné ; aucune donnée ne part du fait de la seule ouverture ou de l'enregistrement d'un Dossier. Le Service ne comporte pas d'interrupteur permettant à l'Office de désactiver la Rédaction assistée pour ses Comptes.

Article 8 — Assistance à l'Office

8.1. Le Sous-traitant transmet à l'Office, sous cinq (5) jours ouvrés, toute demande d'exercice de droits reçue d'une personne concernée par un Dossier et l'assiste, par des mesures techniques et organisationnelles appropriées, pour y répondre.

8.2. Le Sous-traitant assiste l'Office, compte tenu des informations dont il dispose, pour ses analyses d'impact et consultations préalables de la Commission nationale de l'informatique et des libertés.

8.3. Le Sous-traitant notifie à l'Office toute violation de données à caractère personnel affectant les Données de l'Office dans les meilleurs délais et au plus tard quarante-huit (48) heures après en avoir eu connaissance, avec les informations prévues à l'article 33.3 du RGPD, complétées à mesure de leur disponibilité.

Article 9 — Sort des données au terme du contrat

Au terme du Service par résiliation, les Comptes de l'Office restent ouverts en lecture seule pendant la période de réversibilité de quatre-vingt-dix (90) jours prévue à l'article 11 des Conditions. Le Service ne comporte pas de fonction d'export de l'ensemble des Dossiers : le seul fichier qu'il produit est le formulaire de clause pseudonymisé, dossier par dossier, qui ne vaut pas restitution. [À VALIDER : fonction d'export à livrer — tant qu'elle ne l'est pas, le choix de restitution ouvert par l'article 28, 3, g du RGPD ne peut être exercé depuis le Service] À l'issue de cette période, le Sous-traitant supprime l'ensemble des Données de l'Office et leurs copies dans un délai de trente (30) jours, y compris des sauvegardes au fil de leur rotation, sauf obligation légale de conservation, et certifie cette suppression sur demande ; l'opération est conduite manuellement sur la base de données, le Service n'en comporte aucun mécanisme automatique et n'émet aucune attestation. L'échéance de l'Essai et la suspension pour défaut de paiement ne déclenchent aucune suppression.

Article 10 — Documentation et audits

10.1. Le Sous-traitant met à la disposition de l'Office la documentation nécessaire pour démontrer le respect du présent DPA : registre des activités de traitement, description des mesures de sécurité, liste des sous-traitants ultérieurs, politique de notification des violations.

10.2. L'Office peut, une fois par an au plus, faire procéder à un audit documentaire ; un audit sur site n'est possible que sur préavis de trente (30) jours, aux frais de l'Office, aux heures ouvrées, dans le respect de la confidentialité des autres Offices et de la sécurité du Service, par un auditeur indépendant tenu au secret.

Article 11 — Registre

Le Sous-traitant tient le registre des catégories d'activités de traitement effectuées pour le compte de ses clients (article 30.2 du RGPD) et le communique à l'autorité de contrôle sur demande.

Article 12 — Responsabilité, durée, droit applicable

12.1. Chaque partie est responsable des dommages causés par un traitement effectué en violation du RGPD dans les conditions de son article 82. Le plafond de responsabilité des Conditions s'applique, sauf en ce qu'il serait contraire au RGPD.

12.2. Les obligations de confidentialité survivent au terme du DPA.

12.3. Le DPA est soumis au droit français ; les articles 21 et 22 des Conditions s'appliquent.

Annexe 1 — Mesures techniques et organisationnelles

Hébergement

Serveur dédié OVH SAS, Gravelines (France) ; localisation fixée à la commande ; base de données accessible uniquement depuis le serveur applicatif, non exposée sur Internet ; pare-feu. Le Service verrouille un Compte pendant quinze (15) minutes après cinq (5) échecs d'authentification successifs et plafonne le nombre de requêtes par acteur sur les routes sensibles ; ces deux mesures sont applicatives, le Service n'opère aucun blocage au niveau du réseau.

Chiffrement

TLS pour tous les échanges, avec certificats Let's Encrypt renouvelés automatiquement ; AES-256-GCM pour les données nominatives au repos (noms, prénoms, dénominations, adresses, SIRET, secrets de double authentification, codes de récupération), la clé étant conservée hors de la base et sauvegardée hors ligne.

Authentification

Mot de passe haché (Argon2id) ; double authentification TOTP obligatoire ; codes de récupération à usage unique ; limitation du nombre de tentatives ; sessions limitées à sept jours et fermées après douze heures d'inactivité ; protection contre le rejeu des codes de double authentification ; ré-authentification, par le mot de passe et par un code à usage unique, pour le changement de mot de passe et pour les actions d'administration.

Cloisonnement

Chaque Dossier n'est accessible qu'au Compte qui l'a créé ; contrôle d'accès effectué sur le serveur à chaque requête, sans exception pour les comptes d'administration.

Journalisation

Journal d'audit des actions (création, consultation, modification, suppression, qualification, rédaction) dont les entrées sont liées par empreinte SHA-256, sans donnée nominative [À VALIDER : voir la politique de confidentialité, point 3, pour les entrées antérieures] ; journaux techniques conservés [À VALIDER : 12 mois au plus].

Pseudonymisation avant Rédaction assistée

Remplacement des valeurs nominatives par des jetons, refus d'envoi en cas de valeur résiduelle, réinjection locale des valeurs d'origine.

Sauvegardes

Quotidiennes, sur le serveur d'hébergement [À COMPLÉTER PAR L'ÉDITEUR : conservation externe et chiffrement des sauvegardes] ; test de restauration [À COMPLÉTER PAR L'ÉDITEUR : périodicité].

Développement et exploitation

Environnements séparés ; secrets conservés hors du dépôt de code ; mises à jour de sécurité des dépendances ; déploiement précédé de tests automatisés.

Organisation

Personnel soumis à une obligation de confidentialité écrite ; actions d'administration modifiant une donnée nominatives et inscrites au journal d'audit, consultations faites dans les écrans d'administration non journalisées ; accès d'exploitation au serveur encadrés par une procédure écrite [À COMPLÉTER PAR L'ÉDITEUR : référence de la procédure] ; procédure de notification des violations (Office sous 48 heures, autorité de contrôle sous 72 heures).

Annexe 2 — Sous-traitants ultérieurs

Services consultés sans sous-traitance, aucune donnée d'une personne physique n'étant transmise hors de celles qu'ils publient : Base adresse nationale, annuaire des entreprises, IGN Géoplateforme (cadastre), VIES (Commission européenne). Le connecteur iNot (Septeo Solutions Notaires) relève du contrat propre de l'Office avec cet éditeur et n'est activé que par l'Office.

Date de dernière mise à jour de l'annexe 2 : [À COMPLÉTER PAR L'ÉDITEUR : date].